2026 年 7 月 CVE：9,808 条里先修什么

1 先按资产和更新包安排修复

SOSEC 的结论：先把本组织确实运行的产品、版本、部署方式与 13 条 CISA 已知在野利用漏洞相交，命中项同时进入修复和入侵复核；接着处理互联网可达、无需认证即可触发的代码执行、认证绕过、注入与内存破坏，EPSS 只在这一组内部帮助排序；Oracle、Microsoft、Linux、Chrome、Apple 等集中发布按产品和厂商更新包合并为变更；没有资产命中的记录留作情报，没有足够产品或版本信息的记录转成资产核查。CVSS 描述技术严重性，EPSS 给出一个随时间变化的利用概率估计，KEV记录已知利用。真正决定今天是否动手的，是受影响资产、版本、暴露面、厂商当前修复和本地业务后果。

7 月公开了 9,808 条 CVE 记录，其中 9,763 条在研究快照中仍有效，45 条已经撤销。这个数字适合描述漏洞披露系统一个月吞吐了多少记录，直接把它变成 9,808 张补丁工单会制造大量重复劳动。7 月 21 日 Oracle 一次发布 1,097 条记录，指向 262 个产品和同一个季度更新入口；7 月 14 日 Microsoft 一次发布 570 条，覆盖 104 个产品；Linux 在 7 月 19 日公开 431 条，Chrome 在 7 月 30 日公开 370 条。工程团队实际安装的是一个累计更新、一个浏览器版本、一组内核包或一列设备热修复。记录编号负责说明问题，变更对象负责把问题修掉。

这也解释了为什么单一排行榜会误导。我们在全部有效记录中看到了 1,447 条“至少有一个来源给到 9.0 以上”的记录，而同一快照里只有 13 条进入 CISA KEV。Cisco Secure FMC 的 CVE-2026-20316 只有 5.3 分，厂商仍因可与同产品其他缺陷串联而给出 High 等级，并确认已经发生利用；Arista VeloCloud Orchestrator 的 CVE-2026-16812 是 10.0 分且确认利用，8 月 4 日 EPSS 仍只有 0.00884。严重性、预测和真实利用分别回答不同问题。资产匹配把它们变成行动。

本文把完整枚举和可读结论分开交付。正文解释这个月究竟发生了什么、哪些原因反复出现、怎样把记录变成安全变更；公开逐条账本收录全部 9,808 个编号、9,763 条原因判断、各来源的 CVSS 行、EPSS、KEV、产品、引用、判断精度与限制。读者可以复算本文数字，也可以按自己的产品清单重新筛选，无需相信一张脱离资产的总分表。

3 七月的 9,808 条记录从哪里来

“7 月 CVE”先要固定日期字段。本文选择 CVE Program 记录里的 cveMetadata.datePublished，范围为 UTC 7 月 1 日零时至 8 月 1 日零时，数据固定在 cvelistV5 提交 a373dbed。这个口径得到 9,808 条，其中 9,763 条当前 PUBLISHED、45 条当前 REJECTED。NVD API 的 pubStartDate 官方定义为“加入 NVD 的时间”；同一窗口返回 9,919 条，其中 111 条的 CVE Program 公开日期在七月之外，核心 9,808 条在抓取时全部已经进入 NVD。两个数字都正确，分别测量 CVE Program 公开与 NVD 接收。

编号里的年份也不能当成公开年份。9,763 条有效记录中，9,527 个编号属于 2026 年，另外 236 个来自更早的编号年份；最早的是 2011 年。预留到公开的中位间隔为 13.2 天，P90 为 82.7 天，P99 为 302.3 天，最长 1,982 天；76 条超过一年，6 条超过五年。P99 使用完整总体上 p × (n−1) 的线性插值，公开账本写明了算法。CVE-2021-27137 就在 2021 年预留、2026 年 7 月公开，随后因 DD-WRT UPnP 缓冲区溢出被加入 KEV。按编号年份抓“本月新漏洞”会漏掉这类真实新增公开记录。

每天的数量由发布节奏塑形。7 月 14 日有 1,007 条，主要来自 Microsoft；7 月 21 日达到 1,474 条，Oracle 一家贡献 1,097 条；7 月 19 日的 466 条里 Linux 占 431 条；7 月 30 日的 669 条里 Chrome 占 370 条。按全部 9,808 条记录计算，全月最大发布者是 GitHub CNA 的 1,298 条，其后是 Oracle 1,108、Linux 837、VulnCheck 705、Microsoft 648、Chrome 487、Patchstack 481、Wordfence 454 和 VulDB 440。曲线显示披露组织的批处理日历，不能直接解释攻击者在某一天突然发现了多少独立缺陷。

文本重复进一步暴露了“记录数”和“独立工程问题”的距离。9,763 条有效记录只有 6,801 个不同非空标题；227 个重复标题簇容纳 802 条记录，最大一簇 25 条。描述有 9,273 个不同文本，262 个完全相同的描述簇容纳 752 条记录，最大一簇 32 条。有效记录引用 20,787 个不同 URL，其中 19,843 个只出现一次；另一方面，Oracle 的 1,097 条批次共享一个季度公告入口，Apple 7 月 27 日 164 条记录只用了 11 个不同引用。共享公告可以承载很多产品行，一段相同描述也可能对应多个产品或两个无法从公开文字区分的编号。归并用于安排变更，原始编号仍保留用于追踪影响和后续更新。

45 条撤销记录也属于完整月度历史。33 条明确写明“不是安全问题”，5 条指向重复编号，另有超出威胁模型、错误判定和一般撤回。账本保留这些历史记录，原因统计和补丁队列只使用 9,763 条有效记录。撤销状态以后仍可能变化，所以账本同时保留快照提交和每条记录的更新时间。

NVD 在 8 月 4 日的富化状态也解释了为什么月末不能依赖一个字段完成资产匹配。NVD 的 9,919 条七月接收记录中，3,702 条为 Analyzed、3,592 条 Deferred、1,318 条 Awaiting Analysis、581 条 Undergoing Analysis、471 条 Received，另有 145 条 Rejected 与 110 条 Modified；核心有效记录中只有 3,824 条带 NVD CPE 配置，占 39.2%。CPE 很有价值，缺少 CPE 时仍需使用 CNA 的受影响产品、厂商公告、SBOM、软件发现与部署记录。空配置表示富化状态，不能自动写成“环境中不存在”。

4 三类工程失误占 61.8%

我们给 9,763 条有效记录各选一个最早能够解释漏洞路径的工程原因：权限、身份、对象或租户绑定错误 2,449 条；内存边界、类型、初始化、所有权或生命周期错误 1,817 条；不可信数据跨入 SQL、命令、代码、HTML、模板或反序列化语法 1,770 条。三类合计 6,036 条，占 61.8%。其后是请求与网络信任 761、资源控制 607、文件或对象选择 589、状态与时序 477、密码与秘密 310、输出泄露 308、其他具体原因 184、配置更新与依赖 181、硬件或物理 27；283 条公开材料只说明影响或给出过宽标签，原因保持未确定。

逐条判定使用同一套证据阶梯：先看公开源码或补丁，再看厂商对失效检查、状态变化或生命周期的说明，随后才采用具体的 Base/Variant CWE 与描述；材料只能支持大类时就停在原因家族，连大类都无法成立时保留“未确定”。每条有效记录都有一条机制句、证据依据、精度和置信度。376 条记录进一步打开一手引用核对，其中完整覆盖 13 条 KEV、22 条 EPSS 不低于 0.10 的记录，以及最高观察分不低于 9.0 且初判仍宽泛或未确定的记录，另补查了来源冲突和需要确认调用路径的案例。构建程序要求 9,763 个有效编号各出现一次，并拒绝没有公开源码或补丁 URL 支撑的“源码追踪”标签。283 条未确定记录因此是公开材料分辨率的结果，账本没有用猜测把它们补齐。

权限与对象绑定排第一，原因远比“忘了登录”更广。它包括接口完全没有认证、已经登录却能操作别人的对象、普通管理员能进入系统级功能、租户标识与会话主体没有绑定、代理或批处理把一种权限解释成另一种权限。修复这类问题需要在真实动作上同时检查主体、对象、租户和状态，并为越权对象、跨租户 ID、旧令牌、批处理子请求和管理员边界写负向测试。只在路由入口做一次“用户已登录”检查，后面的对象选择仍可能失守。

内存类记录集中在 Linux、Microsoft、Chrome、Apple 和各种解析库。越界读写、释放后使用、整数溢出、未初始化值、类型混淆和竞态共享一个前提：程序在访问前没有保持长度、所有权、类型或生命周期约束。安全语言可以缩小其中一部分面积，现有 C/C++ 和内核代码仍需要针对解析器与并发路径的模糊测试、ASan/UBSan/KASAN 等动态检查、编译器硬化和精确的回归样例。把每个 CVE 只当成一个待打补丁的地址，会错过同一对象生命周期在相邻函数里继续出错的机会。

解释器边界覆盖 SQL 注入、命令注入、XSS、模板与表达式执行、不安全反序列化以及动态代码加载。共同失误是把数据拼成另一套语言，然后希望过滤器猜中所有语法。稳定修法是使用参数化查询、结构化进程参数、按输出上下文编码、受限类型的序列化格式和明确的模板能力；输入校验负责业务允许值，不能承担完整的 SQL、Shell、HTML 或对象图语法隔离。7 月 WordPress 的 CVE-2026-60137 与 CVE-2026-63030 还说明两处弱点会在调用链上合流：REST 批处理的路由解释冲突把输入送进 WP_Query，author__not_in 的 SQL 处理再让组合路径达到代码执行。升级 WordPress 当前支持版本能关掉链条，开发侧仍要分别修正路由解释和查询边界。

这些比例描述的是七月公开语料，产品组合一变，原因分布也会变。Oracle 的 1,108 条有效记录有 834 条落在权限与对象绑定，占 75%；Linux 的 837 条里，443 条是内存与生命周期、207 条是状态与时序，合计 78%；Microsoft 的 648 条里有 375 条属于内存与生命周期，占 58%；Patchstack 与 Wordfence 的记录则分别有 230/481 和 221/454 落在解释器边界，接近一半。这个差异与产品形态和发布者描述粒度共同有关。全月分布适合决定跨团队的共性投入，本组织的安全开发预算仍应按自己的语言、框架、设备和暴露面重新计算。

CWE 数据能帮助定位，直接把排行榜当作根因统计会过度概括。8,979 条有效记录至少有一个 CWE，784 条完全没有；只有 5,945 条拥有 CWE 4.20 中允许或需要复核的 Base/Variant 映射，3,818 条没有足够具体的结构化映射。出现最多的 CWE-284 有 910 条，它在官方目录中属于 Pillar，映射使用标为 Discouraged，意思接近“访问控制大类”；CWE-20“输入验证”同样经常停在上层。我们的精度标签因此分开记录证据：15 条追到公开源码或补丁，5,084 条由具体 Base/Variant CWE 与描述共同支持，2,573 条由具体描述支持，1,808 条只能到原因家族，283 条未确定。原因分布保留了公开材料的分辨率，没有把宽泛标签润色成源码事实。

逐条阅读还发现一批记录与一手资料的实质冲突。CVE-2026-51027 的嵌入描述只说信息泄露，公开复现材料展示的首个失误是路径逃逸后的越界文件移动；CVE-2026-59084 的记录保留了 9.1 分来源，Apache 公告把 Tomcat EncryptInterceptor 文档缺陷定为 Low；CVE-2026-16388 的记录最高 9.8，Mozilla 公告定为 Moderate；CVE-2026-18002 的记录最高 9.6，Chrome 公告明确写 Low；CVE-2026-65590 同时出现 n8n 官方 5.5、需高权限且只影响显式安装 computer-use 包的判断，以及 NVD 9.8 的评分。账本保留每个来源、版本、向量和差值，正文采用厂商对自身产品和当前版本的说明，并把冲突当成复核提示。

5 三个信号要和资产一起看

为避免丢掉来源差异，我们对每条记录保存全部 CNA、ADP 与 NVD 评分行，并用“观察到的最高分”只做总体分桶：1,447 条严重、4,294 条高危、3,376 条中危、292 条低危、354 条没有分数。这个最大值经常混合 CVSS 3.1 与 4.0、不同环境假设和不同机构判断；1,268 条记录的来源分差至少 1 分，640 条至少 2 分，374 条至少 3 分。最高分负责触发复核，来源归属、版本与向量负责解释判断。

EPSS 快照覆盖全部 9,763 条有效记录，中位数 0.00256，P90 为 0.00481，P95 为 0.00647，P99 为 0.01613；215 条达到 0.01，29 条达到 0.05，22 条达到 0.10，7 条达到 0.50，最高是 WordPress CVE-2026-63030 的 0.98417。最高七条全部在 KEV 中，说明成熟且活跃的攻击会推高模型信号；Arista CVE-2026-16812 已确认利用仍只有 0.00884，说明刚公开、样本较少或生态较窄的攻击可能暂时停在低值。EPSS 的模型和分数日期都要保存，每次刷新后重新排序。

CISA KEV 在固定快照中命中 13 条：DD-WRT 一条、SonicWall 两条、Check Point 一条、Arista 一条、Cisco FMC 一条、Microsoft 四条、Joomla Balbooa 一条、WordPress 两条。KEV告诉运营者已经观察到利用，并给美国联邦机构规定处置要求与日期。进入 KEV的产品若在本地存在，补丁工作需要同时回答“攻击是否已经发生”；未命中资产时保留检索证据。厂商后来扩展受影响面也会改变答案：Arista 在 8 月 3 日把 VeloCloud Orchestrator Hosted 加入受影响平台，研究快照与文章都采用这次更新后的状态。

三个例子能把分工说清。Check Point CVE-2026-16232 的 9.3 分、0.71391 EPSS 与 KEV方向一致，管理服务器直接暴露且没有限制 Trusted Clients 时，未认证攻击者可取得应用令牌并成为完整管理员；热修复、收窄管理面和审查策略变更应同时进行。Cisco CVE-2026-20316 的 5.3 分与 KEV方向不同，真实利用和可串联性把它提升到紧急修复。Arista CVE-2026-16812 的 10.0 分与 KEV一致、EPSS偏低，厂商公告给出了具体固定版本、攻击 IP、日志检查和恢复建议。分数不一致时，公告里的触发条件、资产状态与利用事实比一个合成序号更接近真实工作。

缺失字段也要有明确含义。354 条没有任何 CVSS，283 条原因无法从公开材料确定，3,818 条缺少具体可用 CWE，约六成有效记录没有 NVD CPE 配置。它们的紧急程度需要回到产品、可达性、权限、影响、修复和本地控制；数据不足的记录可以进入调查队列，不能默认升到最高，也不能自动沉底。公开证据有限本身就是一项运营成本，采购与供应商管理应要求更清楚的版本范围、修复说明和可机读公告。

6 修复完成要看运行实例

每月导入后，第一步应把厂商名、产品名、包名、镜像、设备型号和云服务别名归一，再同 EDR 软件清单、SBOM、容器仓库、云资产、网络暴露和人工维护台账相交。命中结果要能指出具体实例，不能只说“公司使用 Microsoft”或“存在 Java”。大型套件还要记录组件是否安装、协议是否启用、管理面是否可达和托管方是否已经完成修复。资产发现覆盖不足时，把缺口交给资产负责人并保留未确认状态。

第二步按厂商公告和修复制品归并。一个更新可能修很多 CVE，一个 CVE也可能影响多个产品行；记录层与变更层天然是多对多关系。Oracle 7 月 CPU、Microsoft 月度更新、Linux 稳定树与发行版包、Chrome 稳定版、Apple 系统更新都应成为各自的更新列车。每列车保留适用产品、当前目标版本、维护前备份、临时限制、业务回归、失败处置和安全回滚版本。这样既不会漏掉单个编号，也不会让同一补丁被数百张工单重复安装。

第三步把已知利用与高风险暴露单独拉出来做安全复核。SonicWall 公告要求在发现迹象后重装或重部署、轮换密码和 TOTP；Arista 要求保存 Web、后端、系统、数据库和文件时间证据，检查异常外连、命令执行、配置变化与托管设备状态；Cisco 给出了明确日志命令和 TAC 恢复路径。补丁只能阻止以后走同一路径，已经取得的账号、令牌、计划任务、Web shell、配置改动和下游设备权限可能继续存在。关闭这类工作项时必须写清调查范围和剩余未知。

第四步从原因分布反推工程投入。权限与对象绑定占四分之一，优先建立集中授权组件、跨租户测试、对象所有权断言和批处理子请求测试；内存与生命周期占 18.6%，把模糊测试、动态内存检查、安全语言迁移和所有权审查放到高暴露解析器与内核接口；解释器边界占 18.1%，清点动态 SQL、Shell 拼接、模板执行、HTML sink 和通用反序列化入口，并用结构化 API 替换字符串构造。月度 CVE 只展示已经公开的失败，工程改造要减少下一批同类问题。

最后一步是验证正在提供服务的字节。检查包或镜像摘要、进程加载版本、集群每个节点、负载均衡后的真实实例、浏览器和移动端自动更新状态，再执行厂商回归和关键业务流程。旧容器标签、离线节点、灾备快照、安装介质与自动扩容模板也要清理或更新。安全回滚版本必须事先验证；回滚会重新暴露漏洞时，方案应改为隔离、停用功能或恢复到另一条受支持分支。

本次公开账本的 SHA-256 为 10c66df7c90c2649c26adba0cfed3c2b4d1d17d59c7620557438358f7308e592，模式标识为 sosec.july-2026-cve-census.v1。它固定 CVE Program 提交、五页 NVD 响应、CWE 4.20、CISA KEV 2026.08.03、EPSS v2026.06.15 与 NVD 数据源目录，并保留 36 个逐条审阅分片的汇总结果。账本省略原始漏洞描述，降低复制利用性文字的必要性；引用 URL、产品、评分、原因句、判断精度和证据限制都保留。这个快照穷尽了指定公开语料，厂商后续改版、私有案件、未公开补丁和读者资产状态仍需继续更新。

7 月最重要的发现很朴素：漏洞编号增长得很快，安全工作仍然发生在具体机器、具体版本和具体变更上。先找出本地存在且已经被利用的 13 条候选，再处理真实暴露的高风险路径；把成批编号归到一次可靠更新；安装后检查运行实例，已知利用项继续查入侵；随后用 2,449 条权限绑定、1,817 条内存生命周期和 1,770 条解释器边界提醒开发团队下一步该修什么习惯。这样读完 9,808 条记录，得到的才是一套可以执行的决定。